Папка web-to-print-online-designer ниже 2.15.0 на проде значит, что гость без логина кладёт на сервер свой файл, в том числе PHP. WPScan помечает закрытие в 2.15.0. Из каталога пакет не скачать: плагин закрыт с 8 сентября 2019.
22 сентября в списке три позиции. Сначала этот slug, потом mb-frontend-submission вместе с mb-user-profile (в Meta Box AIO оба модуля уже внутри) и give-tributes. Права администратора разобраны в Wordfence и Patchstack. Нет папки в списке плагинов: эта строка вас не касается.
- Web to Print Online Designer, у WPScan ещё имя WooCommerce Online Product Designer, slug
web-to-print-online-designer, CVE-2026-82187. Без логина файл любого типа, включая PHP. В описании версии до 2.15.0, в таблице затронутых с 1.7.0. Патч 2.15.0. Загрузки в каталоге нет. - Meta Box, CVE-2026-13355. Без логина до администратора, если вместе стоят форма с фронта и профиль пользователя, либо AIO. AIO по 3.11.0, патч 3.12.0 от 17 сентября: проверка прав при сохранении формы.
mb-frontend-submissionпо 4.5.6, патч 4.6.0.mb-user-profileпо 3.11.0, Patchstack ставит 3.12.0. В каталоге этих slug нет, бесплатный Meta Box дыру не закрывает. Wordfence за сутки отбил 44 попытки. - Give Tributes, slug
give-tributes, CVE-2026-19658. Объект PHP без логина, только при нескольких получателях и выключенном своём сообщении eCard (это дефолт). Своей цепочки классов в плагине нет. По 2.3.1, патч 2.3.1.1 в changelog Nexcess. В каталоге slug нет.
Web to Print Online Designer
Из трёх это единственная дыра, где гость сразу получает код на сервере, а не учётку. Плагин не проверяет тип и расширение файла и отдаёт токен защиты загрузки любому, кто его спросит. CVSS 9.8, без логина и без клика. Такую версию не оставляют до понедельника.
Номер 2.15.0 есть у WPScan. Файла с этим номером в wordpress.org нет: страница плагина жива, скачивание закрыто с 2019 года. wp plugin update здесь пустой. Архив ищите в кабинете, где плагин покупали. Если 2.15.0 там не лежит, выключите его. Перед заменой файлов сделайте бэкап базы и wp-content.
Meta Box и Give Tributes той же командой из каталога не обновляются. Папки на диске видны так:
wp plugin list --fields=name,status,version | grep -Ei 'web-to-print-online-designer|mb-frontend-submission|mb-user-profile|meta-box-aio|give-tributes'
